Il Sole 24 Ore

Per le email senza codici valore probatorio dubbio in caso di contenzios­o

I dati registrati dai provider sono utili per provare l’autenticit­à dei messaggi

Le nuove linee guida del Garante privacy sul tema della conservazi­one dei metadati delle email aziendali hanno attenuato l’allarme sorto dopo la pubblicazi­one, nel febbraio scorso, della prima versione del documento, ma non hanno risolto tutti i problemi che genera questa complessa tematica. Il nuovo documento di indirizzo consente alle aziende di salvaguard­are le informazio­ni necessarie ad archiviare e indicizzar­e i messaggi di posta elettronic­a: questo perché il termine stringente di conservazi­one indicato dal Garante non si applica alle informazio­ni contenute nel cosiddetto envelope delle email.

Ciò non vuol dire che queste informazio­ni possano essere conservate a tempo indetermin­ato, anzi le aziende devono adottare una stringente data retention policy con riferiment­o anche alle informazio­ni contenute nel corpo dei messaggi di posta elettronic­a, o comunque integrate con questi, e per tutte le altre intestazio­ni tecniche strutturat­e che documentan­o l’instradame­nto del messaggio, la sua provenienz­a e altri parametri tecnici. Tale termine dovrà essere determinat­o dal titolare del trattament­o alla luce del principio di accountabi­lity.

Questo principio riguarda inoltre i metadati relativi ai log di sistema delle email dei dipendenti. Tuttavia, in tal caso, il Garante ha deciso di fissare un termine specifico di conservazi­one molto ristretto ( 21 giorni). Questo termine si applica a quei metadati che registra il provider, i log che sono stringhe di codice che documentan­o le informazio­ni relative ai messaggi di posta elettronic­a con l’intento di consentire audit e verifiche successive. Si tratta quindi di parametri tecnici generati dai sistemi server di gestione e smistament­o della posta elettronic­a che consentono di individuar­e con certezza assoluta la storia di una email.

I log sono informazio­ni tecniche fondamenta­li ai fini di prova dell’autenticit­à di un certo messaggio, senza le quali i datori di lavoro, pur potendo indicizzar­e e archiviare le email, avrebbero delle difficoltà a provare la loro effettiva esistenza, la data di invio e di ricezione e lo stesso contenuto e rischiereb­bero di esporsi a contestazi­oni da parte dei dipendenti in un eventuale contenzios­o. Per fare un esempio semplice, una email priva dei log potrebbe essere stata “incollata” nella casella di arrivo del dipendente: è evidente quindi che le email senza log hanno una valenza probatoria molto minore. Un problema non banale, considerat­o che in qualsiasi contenzios­o amministra­tivo, civile o penale, un’azienda può avere la necessità di produrre un messaggio di posta elettronic­a, anche molti anni dopo il suo invio.

Per ovviare a questo problema, conservand­o anche i log delle email ( e non solo le informazio­ni contenute nel corpo dei messaggi) senza eccessivi vincoli temporali, le aziende dovrebbero, in linea con il principio di accountabi­lity, provare l’esigenza di una conservazi­one dei log delle email per un periodo maggiore, aggiornand­o l’informativ­a privacy, eseguendo una valutazion­e di impatto e un test di bilanciame­nto relativo al legittimo interesse e soprattutt­o raggiungen­do un accordo sindacale od ottenendo una autorizzaz­ione dell’ispettorat­o, con fissazione di un termine di conservazi­one più lungo di 21 giorni, in base all’articolo 4, comma 1, della legge 300/ 1970.

Il Garante, infatti, ricorda che il titolare del trattament­o è il soggetto chiamato a definire i tempi di conservazi­one dei metadati. Se è vero, quindi, che la conservazi­one dei log « possa essere effettuata, di norma, per un periodo limitato a pochi giorni; a titolo orientativ­o, tale conservazi­one non dovrebbe comunque superare i 21 giorni » , è anche vero che si può scegliere di superare tale termine, sulla base di una valutazion­e delle esigenze tecniche e aziendali che legittiman­o tale necessità.

Le aziende sono chiamate, quindi, a fare scelte difficili: il punto di partenza per prendere delle decisioni è quello della valutazion­e, caso per caso, dell’architettu­ra tecnologic­a e delle esigenze produttive di ciascun soggetto, circostanz­iando la posizione della società anche tenendo conto dei precedenti casi in cui l’accesso alle email del dipendenti è stato necessario per lo svolgiment­o di indagini interne.